CVE-2026-73964

Estado: Pendiente de análisisBaja (2.7)—

Gravedad2.7Baja · CVSS 3.1

Probabilidad de explotación0.30 %mayor que el 22 % de las CVE

Explotación activaNono figura en el catálogo de CISA

Exploit públicoNo conocidosin código público localizado

Vulnerabilidad en el componente RDBMS de Oracle Database Server. Las versiones compatibles afectadas son la 19.3-19.32 y la 21.3-21.23. Una vulnerabilidad fácilmente explotable permite a un atacante con privilegios altos y con el privilegio Query Optimizer, mediante acceso a red a través de Oracle Net, comprometer RDBMS. Los ataques con éxito contra esta vulnerabilidad pueden provocar un acceso de lectura no autorizado a un subconjunto de los datos accesibles de RDBMS. CVSS 3.1 Base Score 2.7 (impactos en la confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N).

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base: 2.7
Versión: 3.1
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días: 0.30 %
Percentil entre todas las CVEs puntuadas: 22
Fecha de la puntuación: 22/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

ExplotaciónT1210 Exploitation of Remote Serviceslateral movement90 %
Impacto principalT1213 Data from Information Repositoriescollection70 %

El vector PR:H con AV:N indica red con privilegios altos (T1210). El texto describe acceso de lectura no autorizado a un subconjunto de datos accesibles de RDBMS (T1213).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability Scanning User Training User Account Management Threat Intelligence Program Privileged Account Management Network Segmentation

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Oracle — Database Server^AI

Referencias

Mostrar las 1 referencias

https://www.oracle.com/security-alerts/cpuoct2026.html

JSON original (NVD)

Mostrar

{
  "id": "CVE-2026-73964",
  "cveTags": [],
  "metrics": {
    "cvssMetricV31": [
      {
        "type": "Primary",
        "source": "secalert_us@oracle.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 2.7,
          "attackVector": "NETWORK",
          "baseSeverity": "LOW",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "HIGH",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 1.4,
        "exploitabilityScore": 1.2
      }
    ]
  },
  "affected": [
    {
      "source": "secalert_us@oracle.com",
      "affectedData": [
        {
          "vendor": "Oracle Corporation",
          "product": "Oracle Database Server",
          "versions": [
            {
              "status": "affected",
              "version": "19.3",
              "versionType": "custom",
              "lessThanOrEqual": "19.32"
            },
            {
              "status": "affected",
              "version": "21.3",
              "versionType": "custom",
              "lessThanOrEqual": "21.23"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-20T22:19:49.977",
  "references": [
    {
      "url": "https://www.oracle.com/security-alerts/cpuoct2026.html",
      "source": "secalert_us@oracle.com"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "descriptions": [
    {
      "lang": "en",
      "value": "Vulnerability in the RDBMS component of Oracle Database Server.  Supported versions that are affected are 19.3-19.32 and  21.3-21.23. Easily exploitable vulnerability allows high privileged attacker having Query Optimizer privilege with network access via Oracle Net to compromise RDBMS.  Successful attacks of this vulnerability can result in  unauthorized read access to a subset of RDBMS accessible data. CVSS 3.1 Base Score 2.7 (Confidentiality impacts).  CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:N/A:N)."
    }
  ],
  "lastModified": "2026-10-21T18:44:19.627",
  "sourceIdentifier": "secalert_us@oracle.com"
}